REDCap < 14.9.6 複数の脆弱性

high Web App Scanning プラグイン ID 115433

Language:

概要

説明

自己報告されたバージョン番号によると、リモートホストで実行されている REDCap のバージョンは、14.9.6 より前のものです。したがって、以下の複数の脆弱性による影響を受けます。

- プロジェクトダッシュボード名に HTML インジェクションの問題があり、攻撃者が細工されたリンクを通じてログアウトリクエストを発生させ、ダッシュボード名をクリックしたユーザーのセッションを終了させたり、フィッシングウェブサイトにリダイレクトしたりすることが可能になっている。(CVE-2024-56310)

- カレンダーイベントのノートセクションに HTML インジェクションの問題があり、攻撃者がログアウトリクエストを発生させたり、ユーザーをフィッシングウェブサイトにリダイレクトしたりすることが可能になっている。(CVE-2024-56311)

- プロジェクトダッシュボード名に蓄積型クロスサイトスクリプティング (XSS) の問題があり、他のユーザーがダッシュボードを開く際に実行される任意のスクリプトを、認証されたユーザーが注入することが可能になっている。(CVE-2024-56312)

- カレンダーイベントのノートフィールドに蓄積型クロスサイトスクリプティング (XSS) の問題があり、イベントが表示される際に実行される任意のスクリプトを、認証されたユーザーが注入することが可能になっている。(CVE-2024-56313)

- プロジェクト名に蓄積型クロスサイトスクリプティング (XSS) の問題があり、他のユーザーがプロセスにアクセスする際に実行される任意のスクリプトを、認証されたユーザーが注入することが可能になっている。(CVE-2024-56314)

- ビルトインメッセンジャーのメッセージフィールドに蓄積型クロスサイトスクリプティング (XSS) の問題があり、受信者がメッセージを開く際に実行される任意のスクリプトを、認証されたユーザーが注入することが可能になっている。(CVE-2024-56376)

- アンケートタイトルとアンケート指示フィールドに蓄積型クロスサイトスクリプティング (XSS) の問題があり、回答者がアンケートを開く際に実行される任意のスクリプトを、認証されたユーザーが注入することが可能になっている。(CVE-2024-56377)

- メールの件名フィールドに反射型クロスサイトスクリプティング (XSS) の問題があり、アラート設定のリストを含む CSV ファイルをアップロードして到達可能になっている。(CVE-2025-23110)

- アンケートフィールド名を介した HTML インジェクションの問題があり、攻撃者がアンケートの回答者をフィッシングウェブサイトにリダイレクトすることが可能性になっている。(CVE-2025-23111)

- アンケートフィールド名を介した蓄積型クロスサイトスクリプティング (XSS) の問題があり、回答者がアンケートを開く際に実行される任意のスクリプトを、認証されたユーザーが注入することが可能になっている。(CVE-2025-23112)

- アラートタイトルフィールドを介した HTML インジェクションの問題があり、アラート設定のリストを含む CSV ファイルのアップロードして到達可能になっており、被害者のクロスサイトリクエスト偽造 (CSRF) ログアウトを引き起こす可能性がある。(CVE-2025-23113)

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。